01.09.2026
1 хв
215
Фахівці Bitdefender виявили масштабну кампанію Midnight Mimosa, у межах якої шкідливе програмне забезпечення потрапляє на Android-смартфони ще до їхнього продажу. Воно приховується серед системних компонентів, непомітно встановлює застосунки та дозволяє зловмисникам використовувати чужі пристрої для рекламного шахрайства й роботи ботнетів.
Дослідники компанії Bitdefender зафіксували зараження тисяч недорогих Android-пристроїв, на яких шкідливе ПЗ було вбудоване безпосередньо в прошивку. За два роки спостережень кампанію виявили на тисячах унікальних пристроїв у понад 150 країнах. Найбільше випадків припало на Мексику, Францію, Італію, США та Німеччину.
Проблема стосується переважно бюджетних смартфонів на базі процесорів MediaTek, які продаються під різними брендами. Серед них трапляються й пристрої з назвами, що нагадують флагманські моделі відомих виробників, хоча фактично вони не мають до них стосунку.
Особливість цієї кампанії полягає в тому, що користувач отримує вже заражений смартфон. Шкідливий компонент вбудований у системне програмне забезпечення та має розширені привілеї, тому може працювати без відома власника.
За даними дослідження Bitdefender, Midnight Mimosa здатен самостійно встановлювати й видаляти застосунки, надавати їм необхідні дозволи та виконувати код, отриманий із віддалених серверів. Це дозволяє операторам кампанії змінювати функціональність зараженого пристрою залежно від власних потреб.
Основний заробіток зловмисників пов’язаний із рекламним шахрайством. На смартфони непомітно встановлюються додаткові програми, які маскуються під звичайні інструменти, зокрема прогнози погоди, менеджери файлів, нотатники, блокувальники застосунків або засоби роботи із зображеннями й текстом. Насправді вони можуть показувати рекламу в прихованих вікнах і створювати фальшиві перегляди та натискання, за які оператори отримують гроші.
Крім того, частину заражених смартфонів використовують як резидентні проксі-сервери. У такому випадку сторонній інтернет-трафік проходить через підключення власника пристрою, а сам телефон стає частиною ботнету. Це дозволяє зловмисникам приховувати справжні джерела мережевої активності та використовувати чужі IP-адреси для інших операцій.
Дослідники також виявили 13 шкідливих застосунків, які поширювалися через Google Play та використовували інфраструктуру, пов’язану з Midnight Mimosa. На відміну від вбудованого системного компонента, ці програми не мали настільки широких привілеїв, але все одно становили загрозу для користувачів.
Щоб приховати встановлення додаткового шкідливого ПЗ, Midnight Mimosa використовує ще один механізм. Перед завантаженням небезпечного застосунку системний компонент тимчасово вимикає Google Play Store, а після завершення встановлення знову його активує.
Таким чином зловмисники намагаються обійти перевірки Google Play Protect, який може виявляти небезпечні програми. Для власника смартфона цей процес залишається практично непомітним.
Головна проблема полягає в тому, що Midnight Mimosa є частиною системного програмного забезпечення. Тому звичайне видалення застосунків або скидання смартфона до заводських налаштувань не гарантує очищення пристрою.
За словами дослідників, для усунення зараження потрібно очистити прошивку або вимкнути шкідливий компонент через Android Debug Bridge (ADB). Проте обидва способи складні для більшості звичайних користувачів.
«Для очищення пристрою потрібно видалити шкідливий компонент із прошивки або вимкнути його через ADB, і жоден із цих варіантів не є реалістичним для більшості власників таких телефонів», – пояснюють дослідники.
Фахівці наголошують, що остаточне вирішення проблеми залежить насамперед від виробників пристроїв і торговельних майданчиків, через які продаються смартфони із зараженими прошивками.
«Довгострокове вирішення проблеми залежить від виробників і торговельних майданчиків, які постачають і продають пристрої з ураженими прошивками», – додають у Bitdefender.
Наразі дослідникам не вдалося встановити, хто саме організував кампанію Midnight Mimosa та на якому етапі виробництва шкідливий код потрапляє до прошивки пристроїв.
Частину заражених прошивок було підписано сертифікатами, пов’язаними з компанією Shenzhen Zediel. Імовірно, йдеться про китайського виробника Zedi Technology, який займається розробкою розумних пристроїв і материнських плат для процесорів Rockchip.
Однак наявність таких сертифікатів не доводить причетності компанії до зараження смартфонів. Дослідники не змогли встановити, як саме вони потрапили до прошивок і чи знали їхні власники про використання сертифікатів у шкідливій кампанії.
«Як ці сертифікати опинилися на цих телефонах і чи був їхній власник причетний до поширення шкідливого ПЗ або знав про нього, залишається незрозумілим», – зазначають фахівці.
